Quali sono le informazioni di salvare un cookie per il futuro l'autenticazione account?

Question

Così sto costruendo il mio primo sito web mai con gli account utente. Quali dati devo conservare il cookie in modo che l'utente può provare che essi sono in realtà che l'utente? In questo momento in cui l'utente accede risparmio il nome utente, il nome utente, un ID di sessione generata casualmente e l'hash della password e salati per l'autenticazione futuro. Non sono sicuro se dovrei fare l'ultima parte ...

Prima che qualcuno suggerisce che vorrei utilizzare OpenID, ma il mio target di riferimento non è garantito per essere esperto di tecnologia e penso che sarebbe solo confonderli. Non voglio gli utenti interessati che vanno alla concorrenza in modo che sto mantenere le cose come "normale" possibile. Suppongo che avrei potuto offrire sia la registrazione del sito E OpenID ...

Answer 1

È davvero solo bisogno di memorizzare l'ID di sessione: finché i dati di sessione viene mantenuto, eventuali altri dati possono essere memorizzati sul lato server contro la sessione. Mantenere i dati personali nei cookie non è una buona idea, dal momento che sono memorizzati e trasmessi in chiaro.

Dai un'occhiata in dirottamento di sessione se siete preoccupati per la gente aggrappandosi sessione di qualcun altro utilizzando questo metodo ... Anche se, con i biscotti di solito è un po 'più difficile da fare (il caso più comune che ciò accada è su siti che passano l'ID di sessione in giro come parte della richiesta GET).